オプトアウトとは？個人情報保護法の改正ポイントと企業の対応

はじめに

個人情報の取り扱いは企業にとって重要な課題です。特に、個人情報を第三者へ提供する際のルールや手続きについては、個人情報保護法により厳格に規制されています。その中でも、「オプトアウト」はよく耳にする言葉ですが、具体的な内容や法改正による変更点を理解している方は少ないかもしれません。

ここでは、「オプトアウト」とは何か、関連する「オプトイン」との違い、そして法改正による変更点と企業がとるべき対応について解説いたします。

Q&A

Q1. オプトアウトとは何ですか？

A1. オプトアウトとは、個人情報を第三者へ提供している場合に、本人から中止を求められたときにその提供をやめるという手法です。つまり、個人情報を提供することが原則許可されている中で、本人からの要請に基づきその提供を停止する形をとります。

Q2. オプトインとは何ですか？

A2. オプトインは、個人情報を第三者に提供する際に、あらかじめ本人から明確な同意を得る手続きです。オプトアウトとは逆に、本人の同意を前提に個人情報を第三者に提供することになります。

Q3. 個人情報保護法の改正では、どのようにオプトアウトの規制が変更されたのですか？

A3. 2020年の法改正により、オプトアウトによる個人情報の第三者提供が制限されるケースが増えました。特に「要配慮個人情報」や「不正に取得された個人情報」については、オプトアウトの手法を用いた提供が禁止されており、必ずオプトインを経ることが求められます。

オプトアウトとオプトインの違い

1. オプトアウトとは？

オプトアウト（opt-out）は、本人が「選択を拒否する」という意味を持ちます。具体的には、個人情報を第三者に提供している場合、本人からの申し出により提供を中止することを指します。この手法を用いる場合、企業はプライバシーポリシーなどに必要な事項を公表し、個人情報保護委員会に対して事前に届け出を行うことが必要です（個人情報保護法第23条第2項）。

2. オプトインとは？

オプトイン（opt-in）は、「選択を許可する」という意味を持ちます。個人情報を第三者へ提供する際に、あらかじめ本人から明確な同意を取得する手続きです。原則として、個人情報の第三者提供はオプトインによる同意が必要です。例えば、通販会社が顧客の個人情報を第三者に提供する場合、本人から「提供してよい」という明示的な同意を得なければなりません。

個人情報保護法の改正ポイント

2020年の個人情報保護法の改正では、オプトアウトの方法により第三者提供ができる個人情報の範囲が縮小されました。

1. オプトアウトの適用外となる個人データの拡大

改正前は、要配慮個人情報（例：病歴や犯罪歴など）がオプトアウトによる第三者提供の対象外とされていました。改正後は、以下の個人データもオプトアウトが適用できないものとされています。

不正な手段で取得された個人情報
オプトアウトの方法により取得した個人情報
上記の情報を複製または加工したもの

これにより、企業はこれらのデータを第三者に提供する際は、必ずオプトインによる本人の同意を得ることが求められます（個人情報保護法第23条第2項）。

2. オプトアウト届出事項の拡大

改正により、オプトアウトの方法で個人データを第三者提供する際の届出事項が増えました。これにより、企業は従来よりも詳細な内容をプライバシーポリシーや届出書に記載し、適切な手続を踏むことが求められるようになりました。

企業が講じるべき対策

法改正後、民間企業はどのような対応をすべきでしょうか。以下に、具体的な対応策をまとめました。

保有している個人データの見直し
自社で保有している個人データが、改正後の個人情報保護法に適合しているかを確認しましょう。特に、要配慮個人情報や不正取得情報の取扱いには注意が必要です。
プライバシーポリシーや内部規程の改定
改正後の法に基づき、プライバシーポリシーや個人情報取扱規程を改定し、社内での周知徹底を図りましょう。
第三者提供にあたっての同意取得方法の再確認
第三者から個人データを受け取る場合、その提供がオプトアウトによるものではないか確認し、必要に応じて本人からのオプトインによる同意取得を行うようにしましょう。
個人情報保護委員会への届出・報告
オプトアウトの方法を用いる場合は、個人情報保護委員会に対して必要な届出を行い、適切に手続を履行していることを証明できるようにしておくことが求められます。